- 資訊安全：
1.Android 5.0屏幕录制漏洞（CVE-2015-3878）威胁预警 by Freebuf
漏洞原理：
（1）开始录制屏幕前系统调用MediaProjectionManager.createScreenCaptureIntent()发起录制请求。
（2）方法createScreenCaptureIntent返回一个带结果的Intent给应用程序，应用程序接着调用startActivityForResult发起该请求。
（3）方法MediaProjectionPermissionActivity接收到该请求后，首先获取发起请求的应用程序包信息。
（4）接着，MediaProjectionPermissionActivity弹出AlertDialog提示框请求用户授权录制，AlertDialog中的提示信息由请求录制屏幕的软件名称和“将开始截取您的屏幕上的所有内容。”两段组成。
此处系统没有对应用名的长度做检查，提示框的大小会随提示内容（应用名）的长短自动调整，当应用名称足够长时，“将开始截取您的屏幕上的所有内容。”这段提示语将不再显示在AlertDialog中的可视范围内，从而导致手机用户只是看到了一串长长的应用名，而没有看到系统真正想要提示用户的“有软件将要录屏”这样的重要提示信息。
利用这一漏洞，攻击者只需要给恶意程序构造一段特殊的，读起来很“合理的”应用程序名，就可以将该提示框变成一个UI陷阱，使其失去原有的“录屏授权”提示功能，并使恶意程序在用户不知情的情况下录制用户手机屏幕。
如何防范：
在涉及用户隐私的Acitivity中（例如登录，支付等其他输入敏感信息的界面中）增加WindowManager.LayoutParams.FLAG_SECURE属性，该属性能防止屏幕被截图和录制。
2.“无密码时代”的前奏：Yahoo Account Key by Freebuf
雅虎已经宣布通过一种无密码的方式（ Yahoo Account Key ）登录帐户，以提高账户的安全性和可用性。
该服务的具体流程如下：
用户首先要注册使用Yahoo Account Key服务，之后再登录雅虎邮件时就无需输入密码。相反，Yahoo Account Key服务会向与该账号捆绑的智能手机发送一条消息。
这时，用户可以通过选择“Yes”或“No”以允许或拒绝登录。如果智能手机丢失或被盗，用户还可以通过发送电子邮件或手机短信来验证自己的身份。
这意味着用户不再需要记住复杂的密码，同时也将增加账户的安全性。Account Key被雅虎认为是比传统的密码设置更安全，因为一旦它被激活，即使黑客能够获取帐户信息，但他们也无法登录帐户。
3.雄迈摄像头模组被爆高危漏洞影响约30万设备 by 360安全播报
根据这位白帽子所述，雄迈的摄像头模组市场占有率达70%，同时很多OEM厂家和智能家居厂家都在使用这款摄像头模组。由于雄迈摄像头开放公网可直接访问的34567端口，同时存在默认的空口令，导致任何人可以直接登录。
漏洞原理：
（1）开始录制屏幕前系统调用MediaProjectionManager.createScreenCaptureIntent()发起录制请求。
（2）方法createScreenCaptureIntent返回一个带结果的Intent给应用程序，应用程序接着调用startActivityForResult发起该请求。
（3）方法MediaProjectionPermissionActivity接收到该请求后，首先获取发起请求的应用程序包信息。
（4）接着，MediaProjectionPermissionActivity弹出AlertDialog提示框请求用户授权录制，AlertDialog中的提示信息由请求录制屏幕的软件名称和“将开始截取您的屏幕上的所有内容。”两段组成。
此处系统没有对应用名的长度做检查，提示框的大小会随提示内容（应用名）的长短自动调整，当应用名称足够长时，“将开始截取您的屏幕上的所有内容。”这段提示语将不再显示在AlertDialog中的可视范围内，从而导致手机用户只是看到了一串长长的应用名，而没有看到系统真正想要提示用户的“有软件将要录屏”这样的重要提示信息。
利用这一漏洞，攻击者只需要给恶意程序构造一段特殊的，读起来很“合理的”应用程序名，就可以将该提示框变成一个UI陷阱，使其失去原有的“录屏授权”提示功能，并使恶意程序在用户不知情的情况下录制用户手机屏幕。
如何防范：
在涉及用户隐私的Acitivity中（例如登录，支付等其他输入敏感信息的界面中）增加WindowManager.LayoutParams.FLAG_SECURE属性，该属性能防止屏幕被截图和录制。
2.“无密码时代”的前奏：Yahoo Account Key by Freebuf
雅虎已经宣布通过一种无密码的方式（ Yahoo Account Key ）登录帐户，以提高账户的安全性和可用性。
该服务的具体流程如下：
用户首先要注册使用Yahoo Account Key服务，之后再登录雅虎邮件时就无需输入密码。相反，Yahoo Account Key服务会向与该账号捆绑的智能手机发送一条消息。
这时，用户可以通过选择“Yes”或“No”以允许或拒绝登录。如果智能手机丢失或被盗，用户还可以通过发送电子邮件或手机短信来验证自己的身份。
这意味着用户不再需要记住复杂的密码，同时也将增加账户的安全性。Account Key被雅虎认为是比传统的密码设置更安全，因为一旦它被激活，即使黑客能够获取帐户信息，但他们也无法登录帐户。
3.雄迈摄像头模组被爆高危漏洞影响约30万设备 by 360安全播报
根据这位白帽子所述，雄迈的摄像头模组市场占有率达70%，同时很多OEM厂家和智能家居厂家都在使用这款摄像头模组。由于雄迈摄像头开放公网可直接访问的34567端口，同时存在默认的空口令，导致任何人可以直接登录。
- 自我成長：
1.20年前表示「幸好我不是新加坡人」 龍應台：新加坡人比以前更寬容 by Yuan
龍應台提到，她覺得新加坡的優勢，在於它跟北京的關係不同於港台，所以新加坡有相對從容的轉圜餘地與空間。第二個優勢是新加坡擁有真實的多元文化，所以新加坡人對於非華文文化，尤其是伊斯蘭文化，又相對於台灣人和香港人，有更好的條件與環境去深刻了解。
她在文中也提到香港跟台灣和中國的關係，表示過去有長達五六十年的時間，中國處於關閉、沉睡的狀態，台灣跟香港得利於這個現實，實現經濟繁榮發展，但當沉睡的獅子或猛獸突然醒過來，讓香港人、台灣人大吃一驚，因為它挑戰了他們過去60多年來習以為常的規律。
2.1000个创业公司的共同死法 by 龚焱
精益创业五大原则：用户导向、行动、科学试错 单点突破、快速迭代
精益创业从本质上来说一共三块：
第一块，商业计划：
（1）你的核心价值主张是什么?你能够为用户带来什么样的底层价值?
（2）基于你这个核心价值主张，你识别的用户痛点是什么?你能提供什么样的解决方案?
（3）关于价值的捕获，在为用户创造价值的同时，你自身能够从中间捕获什么样的价值?
（4）你的盈利模式。
（5）你的价值网络：谁是你的朋友，谁是你的敌人。
第二块，如何来验证这些前提和假设
第三块，如何来进行用户开发? MVP，最小可行化产品。
所以初创企业的很多失败就在于他过早的去复制和放大，一个没有经过验证的商业模式，他混淆了探索商业模式和复制放大商业模式之间的界限，要认识到，再完美的商业计划，也只是假设，闭门造车是行不通的。
我们如果去看失败的初创企业，因为缺乏用户而失败的初创企业的数量，要远远的超过因为产品开发失败的初创企业。
3.停止抱怨，你就能省下更多時間 by 競爭力直升機
希望遠離挫敗、痛苦與憂傷，永遠過著幸福快樂的日子，這是人之常情。但如果強烈依附於某一情境或事件，過度執著伴隨而來的正面感覺，並努力想與負面經驗對抗時，將會使你處於挫折和失望中，猶如乘坐情緒的雲霄飛車般，心情常處於高低起伏的不定狀態。
當我們願意以徹底接納的態度，去面對看似頑固的積習或棘手的困境時，就會帶來基本的轉化，產生持久的改變。
龍應台提到，她覺得新加坡的優勢，在於它跟北京的關係不同於港台，所以新加坡有相對從容的轉圜餘地與空間。第二個優勢是新加坡擁有真實的多元文化，所以新加坡人對於非華文文化，尤其是伊斯蘭文化，又相對於台灣人和香港人，有更好的條件與環境去深刻了解。
她在文中也提到香港跟台灣和中國的關係，表示過去有長達五六十年的時間，中國處於關閉、沉睡的狀態，台灣跟香港得利於這個現實，實現經濟繁榮發展，但當沉睡的獅子或猛獸突然醒過來，讓香港人、台灣人大吃一驚，因為它挑戰了他們過去60多年來習以為常的規律。
2.1000个创业公司的共同死法 by 龚焱
精益创业五大原则：用户导向、行动、科学试错 单点突破、快速迭代
精益创业从本质上来说一共三块：
第一块，商业计划：
（1）你的核心价值主张是什么?你能够为用户带来什么样的底层价值?
（2）基于你这个核心价值主张，你识别的用户痛点是什么?你能提供什么样的解决方案?
（3）关于价值的捕获，在为用户创造价值的同时，你自身能够从中间捕获什么样的价值?
（4）你的盈利模式。
（5）你的价值网络：谁是你的朋友，谁是你的敌人。
第二块，如何来验证这些前提和假设
第三块，如何来进行用户开发? MVP，最小可行化产品。
所以初创企业的很多失败就在于他过早的去复制和放大，一个没有经过验证的商业模式，他混淆了探索商业模式和复制放大商业模式之间的界限，要认识到，再完美的商业计划，也只是假设，闭门造车是行不通的。
我们如果去看失败的初创企业，因为缺乏用户而失败的初创企业的数量，要远远的超过因为产品开发失败的初创企业。
3.停止抱怨，你就能省下更多時間 by 競爭力直升機
希望遠離挫敗、痛苦與憂傷，永遠過著幸福快樂的日子，這是人之常情。但如果強烈依附於某一情境或事件，過度執著伴隨而來的正面感覺，並努力想與負面經驗對抗時，將會使你處於挫折和失望中，猶如乘坐情緒的雲霄飛車般，心情常處於高低起伏的不定狀態。
當我們願意以徹底接納的態度，去面對看似頑固的積習或棘手的困境時，就會帶來基本的轉化，產生持久的改變。
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言